Ein Befund im Detail
Was dabei herauskommt, wenn jemand nachsieht.
Eine externe Agentur hatte einen sensiblen Formular- und Terminprozess als fertig gemeldet. Geprüft wurde nicht die gesamte Organisation, sondern genau dieser Ausschnitt.
- Was gemeldet wurde
-
Eine Healthcare-Organisation hatte ein Aufnahme- und Terminformular von einer externen Agentur bauen lassen. Darüber sollten Gesundheitsdaten laufen. Die Agentur meldete den Auftrag als fertig. Niemand in der Organisation konnte beurteilen, ob das stimmt.
- Was genau geprüft wurde
-
Geprüft wurde genau ein Ausschnitt: der Formular- und Terminprozess. Nicht die gesamte Infrastruktur, nicht die Agentur, nicht die Verträge.
- Was tatsächlich gefunden wurde
-
- Patientendaten wurden technisch riskant gespeichert.
- Zugangsdaten lagen im Klartext vor.
- Im sensiblen Formularumfeld lief Tracking mit.
- Teile des Prozesses waren nicht barrierefrei bedienbar.
- Wie priorisiert wurde
-
Die Befunde wurden nach Dringlichkeit geordnet: akut, wichtig und später. Unklare Punkte blieben als offene Fragen sichtbar.
- Welche Entscheidung möglich war
-
Jeder Punkt wurde verständlich dokumentiert und nach Dringlichkeit sortiert. Die Organisation konnte danach entscheiden, was die Agentur nachbessern muss, was intern geklärt gehört und was warten kann. Die Entscheidung lag bei ihr, nicht bei mir.